AI Act: cosa cambia dal 2 agosto per le aziende che utilizzano l’intelligenza artificiale
Trasparenza, responsabilità e controllo entrano nei processi aziendali
Il 2 agosto segna un passaggio decisivo nell’applicazione dell’#AIAct europeo. Da questa data diventano operative alcune delle disposizioni più rilevanti del regolamento, tra cui gli obblighi di #Trasparenza previsti dall’articolo 50. L’AI Act è entrato in vigore il 1° agosto 2024, ma la sua applicazione è stata distribuita nel tempo e alcune disposizioni seguiranno scadenze successive.
Chatbot, assistenti virtuali e sistemi che generano o modificano testi, immagini, contenuti audio e video dovranno essere gestiti in modo da consentire alle persone di riconoscere quando stanno interagendo con un sistema di #IntelligenzaArtificiale o quando un contenuto è stato prodotto o manipolato artificialmente.
Per le imprese non sarà quindi sufficiente adottare nuovi strumenti tecnologici. Diventerà necessario conoscere quali sistemi AI vengono utilizzati, quali dati elaborano, con quali piattaforme interagiscono e chi è responsabile del loro controllo.
Che cos’è l’AI Act
L’#AIAct è il Regolamento europeo 2024/1689, introdotto per disciplinare lo sviluppo, la distribuzione e l’utilizzo dei sistemi di intelligenza artificiale nell’Unione europea.
Il regolamento adotta un approccio basato sul rischio: gli obblighi applicabili dipendono dalle caratteristiche del sistema, dalle sue finalità e dall’impatto che può produrre sulle persone e sulle organizzazioni.
La sua applicazione è stata articolata in diverse fasi. Dal 2 febbraio 2025 si applicano i divieti relativi ad alcune pratiche considerate inaccettabili e gli obblighi di #AILiteracy. Dal 2 agosto 2025 sono operative le disposizioni relative alla governance e ai modelli di intelligenza artificiale per finalità generali. Dal 2 agosto 2026 diventa applicabile gran parte delle restanti disposizioni, compresi gli obblighi di trasparenza, mentre alcune regole sui sistemi ad alto rischio seguono tempistiche differenti.
Il 2 agosto rappresenta quindi un momento centrale, ma non la conclusione definitiva del percorso di attuazione.
Il nuovo principio: sapere quando interviene l’AI
Uno degli elementi centrali dell’articolo 50 è il diritto delle persone a comprendere quando stanno interagendo con un sistema automatico o quando ricevono contenuti generati o manipolati attraverso l’intelligenza artificiale.
La #Trasparenza non deve essere interpretata come una semplice dicitura da aggiungere a una schermata. Per essere efficace, deve essere integrata nelle interfacce, nei flussi di comunicazione, nei processi di approvazione e nell’intera esperienza digitale.
Per le aziende questo significa rivedere non soltanto gli strumenti adottati, ma anche il modo in cui vengono presentati, configurati, monitorati e governati.
Chatbot e assistenti virtuali: l’interazione deve essere riconoscibile
Le aziende che utilizzano sistemi progettati per interagire direttamente con le persone dovranno fare in modo che l’utente sia informato di trovarsi davanti a un sistema di intelligenza artificiale, salvo che questa circostanza risulti già evidente dal contesto.
L’obbligo può riguardare chatbot per il customer care, assistenti vocali, sistemi automatici di prenotazione, agenti AI integrati nei siti web, strumenti per il pre-screening commerciale e assistenti interni collegati a database o archivi documentali.
Per adeguarsi, le imprese dovranno verificare messaggi iniziali, schermate, avvisi informativi, interfacce e passaggi tra assistenza automatizzata e supporto umano.
Il punto non è soltanto dichiarare la presenza dell’AI, ma evitare che l’utente attribuisca a una persona risposte, decisioni o azioni prodotte da un sistema automatico.
Contenuti generati dall’AI: identificabilità e marcatura
L’articolo 50 prevede specifici obblighi anche per i sistemi che generano o modificano testi, immagini, contenuti audio e video.
I fornitori dovranno adottare soluzioni tecniche che rendano gli output identificabili come artificialmente generati o manipolati, anche attraverso marcature leggibili automaticamente, affidabili e proporzionate alle caratteristiche del contenuto e della tecnologia utilizzata.
Per le aziende che acquistano o integrano questi strumenti diventa quindi importante verificare quali sistemi di marcatura siano disponibili, se i metadati vengano mantenuti dopo l’esportazione e cosa accada quando un contenuto viene modificato o pubblicato su canali differenti.
Sarà inoltre necessario chiarire quali responsabilità restino in capo al fornitore e quali ricadano sull’organizzazione che utilizza la tecnologia.
Questi aspetti interessano direttamente le attività di #Marketing, comunicazione, customer care, formazione e produzione documentale.
Deepfake e contenuti di interesse pubblico
Regole specifiche riguardano i #Deepfake, ossia contenuti audio, video o immagini che riproducono o modificano persone, oggetti, luoghi o situazioni in modo tale da apparire autentici.
Chi utilizza questi contenuti deve dichiararne la natura artificiale o manipolata, tenendo conto delle eccezioni previste per finalità artistiche, creative, satiriche o analoghe.
Gli obblighi di trasparenza interessano anche determinati testi generati dall’AI e pubblicati per informare il pubblico su questioni di interesse generale. Sono previste eccezioni quando il contenuto è sottoposto a revisione umana o controllo editoriale e una persona o un’organizzazione assume la responsabilità della pubblicazione.
La revisione umana, però, non dovrebbe limitarsi a un’approvazione formale. Deve consentire di verificare attendibilità, contesto, fonti, linguaggio e possibili conseguenze della pubblicazione.
L’obiettivo è costruire una chiara catena di responsabilità, definendo chi genera il contenuto, chi lo verifica, chi ne autorizza la pubblicazione e chi risponde degli eventuali errori.
Riconoscimento delle emozioni e categorizzazione biometrica
Ulteriori obblighi interessano chi utilizza sistemi di riconoscimento delle emozioni o di categorizzazione biometrica.
Le persone esposte a questi strumenti devono essere informate del loro utilizzo e il trattamento dei dati personali deve rispettare anche le norme europee applicabili in materia di privacy e protezione dei dati.
Il tema può riguardare luoghi di lavoro, punti vendita, eventi, servizi al pubblico, attività di sicurezza e strumenti di analisi comportamentale o di #Marketing.
Prima di adottare queste tecnologie, è quindi necessario valutarne attentamente finalità, proporzionalità, base giuridica e impatto sui diritti delle persone.
Cosa devono fare concretamente le aziende
L’adeguamento non può essere gestito soltanto aggiungendo un avviso all’interno di un chatbot. Richiede una visione più ampia di #AIGovernance.
Il primo passo consiste nella costruzione di un inventario dei sistemi utilizzati, compresi quelli acquistati come servizi SaaS o attivati autonomamente dai singoli team.
Per ogni strumento sarà necessario identificare la finalità e il contesto di utilizzo, il fornitore e il modello impiegato, le persone autorizzate, i dati trattati, i sistemi e le API collegati, gli output prodotti, il livello di autonomia e le modalità di supervisione umana.
La mappatura dovrà comprendere anche gli obblighi di informazione, i sistemi di logging disponibili e le informazioni necessarie per ricostruire le attività eseguite.
A questa analisi dovranno seguire policy interne, responsabilità definite, controlli sugli accessi, procedure di revisione e attività di formazione coerenti con i diversi ruoli aziendali.
AI literacy: la governance parte dalle persone
Gli obblighi relativi all’#AILiteracy sono applicabili dal 2 febbraio 2025.
I provider e gli utilizzatori professionali dei sistemi AI devono adottare misure per garantire che le persone che utilizzano o gestiscono queste tecnologie possiedano un livello adeguato di conoscenza e consapevolezza, tenendo conto del ruolo, dell’esperienza e del contesto operativo.
Non è quindi sufficiente organizzare una formazione generale sull’intelligenza artificiale. Chi acquista una piattaforma deve saperne valutare rischi e condizioni, mentre chi la configura deve comprenderne accessi e integrazioni.
Chi produce contenuti deve conoscere i limiti degli strumenti e gli obblighi di #Trasparenza. Chi approva gli output deve essere in grado di individuare errori, bias e informazioni non attendibili. Chi governa i processi deve poter documentare responsabilità e controlli.
Sanzioni, responsabilità e rischi operativi
La mancata conformità può comportare sanzioni economiche rilevanti. Per alcune violazioni del regolamento, le soglie possono arrivare fino a 15 milioni di euro o al 3% del fatturato mondiale annuo totale, tenendo conto del sistema differenziato previsto dall’AI Act e del principio di proporzionalità applicabile alle imprese di minori dimensioni.
Il rischio, però, non riguarda soltanto le sanzioni.
Output errati, contenuti non verificati, accessi eccessivi e automazioni non controllate possono generare decisioni sbagliate, diffusione di informazioni inesatte, perdita di dati, danni reputazionali, violazioni contrattuali ed esposizione a incidenti informatici.
Possono inoltre rendere difficile ricostruire le responsabilità e comprendere quali attività siano state effettivamente eseguite dal sistema.
La #Compliance deve quindi essere collegata alla #Cybersecurity, alla qualità dei dati e alla continuità operativa.
Dalla conformità a un modello operativo di AI governance
L’AI Act non deve essere letto soltanto come un nuovo insieme di obblighi documentali. Per le aziende rappresenta l’occasione per costruire un modello più maturo di adozione dell’intelligenza artificiale.
Un approccio efficace richiede la mappatura dei sistemi e degli strumenti AI, l’analisi dei dati e delle integrazioni e la definizione di ruoli, responsabilità e controlli.
È inoltre necessario progettare chatbot e agenti AI trasparenti, proteggere identità, accessi e API e integrare sistemi di logging e tracciabilità all’interno delle soluzioni.
A questo si aggiungono la gestione dei fornitori, la formazione delle persone e la costruzione di un modello di monitoraggio continuo, capace di evolvere insieme ai sistemi e ai processi aziendali.
Utilizzare l’intelligenza artificiale in modo responsabile non significa rallentare l’innovazione. Significa renderla più sicura, controllabile e coerente con gli obiettivi dell’organizzazione.
La tua azienda sa già dove e come utilizza l’intelligenza artificiale?
Mappare sistemi, dati, integrazioni e responsabilità è il primo passo per costruire un modello di #AIGovernance concreto, sicuro e verificabile.
